TS - Inhaltsratgeber

[Wurstsalat 10]

Hallo zusammen,

 

hab da wohl entweder einen Verständniss, Denk oder Konfigurationsfehler.

 

Es geht um 2 Terminalserver unter w2k3 r2 innerhalb einer ad domäne auf denen für einige user (definiert durch eine benutzergruppe) der Inhaltsratgeber aktiv sein soll, damit man darüber ein paar Seiten sperren kann bzw whitelisten kann.

 

Nun ist mein Problem dass das nicht so funktioniert wie gewünscht.

 

Die Terminalserver haben ihre eigene ou, die gpo`s wirken auf diese, usersettings werden mittels loopback im merge modus angewandt.

 

Nun gibt es dort zwei richtlinien, eine für normale benutzer + eine für die nutzer auf die der inhaltsratgeber wirken soll aber genau das passiert hier nicht. Der Inhaltsratgeber bleibt für alle inaktiv (gpupdate /force, serverrestart etc schon durchgeführt) und ich seh den wald vor lauter bäumen nichtmehr, ich weiss nicht warum diese einstellung nicht übernommen wird.

 

Hat einer ne idee? Wär euch dankbar

 

gruß

[Wolke2k4 11]

Du musst die GPO für die Nutzer, auf die sie nicht wirken soll explizit verweigern (Gruppenrichtlinie übernehmen = verweigern).

[Wurstsalat 10]

Du musst die GPO für die Nutzer, auf die sie nicht wirken soll explizit verweigern (Gruppenrichtlinie übernehmen = verweigern).

sorry für die späte reaktion

 

mein problem ist ja zu aller erst einmal....die richtlinie bzw die einstellung wirkt auf niemanden...verweigert sind sie (richtlinie übernehmen) für die jeweils andere benutzergrupppe (dass die user in der jeweils anderen gruppe sind kann ich ausschliesen da geprüft und zudem nur user mitglieder der gruppen sind), ich hab sogar die vererbung auf die ts ou deatkiviert um hier nicht irgendwo probleme zu bekommen...es funktioniert einfach nicht und ich weiss nicht wieso

[Wurstsalat 10]

vielleicht kann mir ja jemand inzwischen weiterhelfen :)

 

ich komm einfach nicht hinter die problemlösung

Der DC ist ein Server 2003

Der bzw Die TS sind Server 2003 x64 R2

 

Egal "von wo" ich die Richtlinie erstell (ob direkt aufm DC oder auf einem der TS sie nutze), der inhaltsratgeber bleibt in jedemfall inaktiv bzw übernimmt meine einstellungen nicht.

 

Hat mir da einer vielleicht ne punkt für punkt anleitung, ich glaub echt langsam ich bin bekloppt

[Christoph35 10]

Fangen wir mal einfach an:

Hast Du schon mal mit gpresult geprüft, ob die Richtlinie überhaupt angewendet wird?

 

Christoph

[IThome 10]

Erzähl doch erstmal genau, welche Objekte (Computer,Benutzer) sich wo befinden, wo welches GPO verknüpft ist, was Du in der Sicherheitsfilterung angegeben hast und welche Einstellung nicht angewendet wird (nur die eine oder keine aus dem entsprechenden GPO) ... Was ergibt RSOP.MSC ?

[Wurstsalat 10]

Fangen wir mal einfach an:

Hast Du schon mal mit gpresult geprüft, ob die Richtlinie überhaupt angewendet wird?

ja

 

sieht so aus

Angewendete Gruppenrichtlinienobjekte

--------------------------------------

TEST-TSInhaltsratgeber

Local Group Policy

 

Folgende herausgefilterte Gruppenrichtlinien werden nicht angewendet.

----------------------------------------------------------------------

TEST-TS

Filterung: Verweigert (Sicherheit)

 

 

@ithome

also grob skizziert:

AD root

- firma

-- benutzerzweig (hier die einzelnen benutzer)

-- gruppenzweig (hier sitzt die gruppe)

-- Hardwarezweig (hier alles hardwaremässige)

--- Serverzweig (server)

---- Terminalserverzweig (hier die betreffenden Terminalserver, vererbung der GPOs unterbrochen, loopback aktiviert)

 

Die betreffenden Gruppenrichtlinien sind mit dem Terminalserverzweig verknüpft und aktiv

 

TEST-TSInhaltsratgeber (Soll Inhaltsratgeber aktivieren + bestimmte Seiten sperren)

TEST-TS (Soll nichts mit dem Inhaltsratgeber machen)

 

TEST-TSInhaltsratgeber - Gruppe die auf die Seiten nicht zugreifen soll ist explizit darauf zugelassen (sprich richtlinie übernehmen)

TEST-TS - Gruppe welche für TEST-TSInhaltsratgeber Berechtigt ist, ist explizit verweigert (Gruppenrichtlinie übernehmen) - Übernehmen dürfen hier "Authentifizierte Benutzer"

 

genutzt wird die icrav03.rat die auf allen systemen vorhanden ist

 

 

-> RSOP

Sagt mir (unter einem der betreffenden user) dass er nicht auf \\HAHNTS03\admin$\System32\GroupPolicy\Adm\*.adm zugreifen kann

Schaue ich unter Sicherheitseinstellungen nach, sind dort meine gesetzten Einstellungen zu finden (also ich sehe z.B. meine nicht gebilligten seiten). Unter Vorrang für Inhaltsratgeber ist das richtige Richtlinienobjekt ganz oben und steht auf "Aktuelle Inhaltsratgebereinstellungen importieren"

 

Es wird lediglich die Einstellung für den Inhaltsratgeber nicht angewendet, die sonstigen Einstellungen funktionieren (Lw "verstecken", Ordnerumleitung etc)

 

 

edit

So ich hab die vorhandenen Gruppenrichtlinien mal deaktiviert und ne neue erstellt, in absolut minimalistischer ausführung, so siehts aus

 

Ordner werden umgeleitet, Laufwerke werden ausgeblendet + Zugriff verweigert

 

Die Richtlinie wird übernommen (gpresult, rsop) und liefert für mich erstmal aufn ersten blick die richtigen ergebnisse, nur der inhaltsratgeber will nicht wie ich will

 

Wie ich vorgehe:

- Ich erstelle die Richtlinie

- Mach meine gewünschten Einstellungen

-> Stell den Inhaltsratgeber auf "Importieren der aktuellen settings usw."

--> Ich mach meine Einstellungen (stell alles auf uneingeschränkt und im reiter zugelassene seiten stell ich die unerwünschten seiten auf nie)

- Klick alles mit ok durch

- lass mir Zeit oder repliziere die Richtlinien manuell

- Starte den terminalserver neu oder mach ein gpupdate /force

- Ereignissanzeige sagt alles i.O.

- Ich melde mich mit einem der User an auf die das entsprechende zutreffen soll

-> Inhaltsratgeber wird nicht angewendet, Proxyeinstellungen, Firmentag wird aber angewendet...

 

lokal auf den terminalservern existieren keine konfigurierten richtlinie, der inhaltsratgeber ist lokal auch nicht konfiguriert bzw aktiviert (änderte aber an dem verhalten auch nichts)

 

Ich muss dazu sagen, ich hab bisher nie mit dem Inhaltsfilter gearbeitet, mach ich bei der erstellung/einstellung dessen einen fehler?